Varför får jag frågor som inte är relevanta för mitt företag

Ett format för alla kunder i kedjan

Det beror nästan alltid på källan till frågelistan, inte på en felaktig bedömning av ditt företag. De flesta kunder köper sin frågelista från en leverantör eller baserar den på en standard, och tillämpar den sedan för hela kedjan — från enmansfirman till multinationalen. VSME från EFRAG är ett bra exempel på detta: den basmodulen är byggd för icke börsnoterade små och medelstora företag i allmänhet, mot bakgrund av CSRD (direktiv 2022/2464), som den större kunden själv måste rapportera enligt och som kräver data från hela kedjan, inklusive små leverantörer för vilka delar av frågelistan inte är relevanta.

Du ser samma mönster vid NIS2 och ISO 27001. En kund som omfattas av direktiv 2022/2555 måste kontrollera hos sina leverantörer om de tio åtgärderna i artikel 21 punkt 2 är säkerställda — även om ditt företag själv inte omfattas av det direktivet och dessa frågor därför strikt taget inte är obligatoriska för dig. Något liknande gäller för frågor som bokstavligen kommer från bilaga A till ISO/IEC 27001: en inköpsavdelning tar ofta med hela bilagan, även åtgärder som inte är relevanta för din företagsstorlek eller tjänst. Det är ingen fel från kundens sida, det är en avvägning mellan precision och hanterbarhet: en lista för alla är lättare för kunden att underhålla än hundra varianter.

Varför detta format är så brett utformat

De underliggande reglerna — CSRD, NIS2, VSME och ISO 27001 — är själva skrivna för en bred grupp företag och organisationer, inte utformade för ett litet företag. Om en fråga verkligen inte är tillämplig kan det vanligtvis lösas med en kort förklaring; svarsregistret bevarar denna förklaring lika väl som ett positivt svar, tillsammans med grundläggande uppgifter som den sektor där företaget är verksamt och antalet anställda, som ofta just förklarar varför en fråga är eller inte är relevant.